2015年5月28日に発覚、日本、年金事業(特殊法人)

日本年金機構標的型メールによる個人情報流出事件

検知
設定の誤り
権限

標的型メールの検知後も対応ルールがなく、共有サーバの個人情報約125万件が流出した

何があったか

2015年5月8日、日本年金機構の職員が標的型メールのリンク先を開き、端末が不正プログラムに感染した。NISCがこの通信を検知し厚生労働省を通じて連絡したが、機構は解析結果から一旦収束したと判断し、送信元メールアドレスの受信拒否などの対策を取らなかった。5月18日と20日にも標的型メールが届き、複数の職員が添付ファイルを開封したが、情報セキュリティ担当部署はこの事実を把握できなかった。

20日に感染した端末で攻撃者が管理者権限を奪い、同じパスワードを使っていた複数の端末に感染を広げた。個人情報を保管していた共有ファイルサーバはインターネットに接続された環境にあり、一部はパスワードも設定されていなかった。5月21日から23日にかけて、このサーバにあった個人情報が外部のサーバへ送られた。

5月28日、警察から機構の情報とみられるデータを発見したとの連絡があり流出が判明し、29日に機構全体のインターネット接続を遮断した。6月1日に事案を公表し、6月4日にはメール送受信専用の外部回線も遮断した。流出した個人情報は約125万件で、対象者は約101万人にのぼった。

入口: 年金業務に見せかけた標的型メールのリンクや添付ファイルを職員が開き、端末が不正プログラムに感染した
決め手の失敗: 標的型メールを受信した際に開封や感染を確認し、不審な通信先への接続を遮断するといった具体的な対応ルールが定められていなかった。個人情報を置いた共有ファイルサーバはインターネットに接続された環境にあり、一部はパスワードも設定されていなかった。端末のローカル管理者権限のパスワードが端末間で共通だったため、短時間で感染が広がった
被害: お客様の個人情報約125万件(対象者約101万人)が外部に流出した。このうち約55万件のデータはパスワードが設定されていなかった

攻撃の流れ

入口5月8日、年金業務に関連があるように見せかけた標的型メールが機構の公開アドレスに届き、職員1名がリンク先の不正プログラムに感染した端末を操作した
検知と対応の遅れNISCが不審な通信を検知し厚生労働省を通じて連絡したが、機構は運用委託会社の解析結果を受けて一旦収束したと判断し、送信元メールアドレスの受信拒否などの対策を取らなかった
広がり5月18日と20日にも標的型メールが届き、複数の職員が添付ファイルを開封した。情報セキュリティ担当部署はこの事実を把握できず、20日に感染した端末で攻撃者が管理者権限を奪い、同じパスワードを使う他の端末に感染を広げた
持ち出し個人情報を保管していた共有ファイルサーバはインターネットに接続された環境にあり、一部のデータにはパスワードも設定されていなかった。5月21日から23日にかけて、このサーバにあった個人情報が外部のサーバへ送信された
影響5月28日、警察からの連絡で流出が判明し、29日に機構全体のインターネット接続を遮断した。約125万件の個人情報の流出が確認された

数字で見る

約125万件個人情報流出の件数[1] 対象者は約101万人
約5.2万件 4情報(基礎年金番号、氏名、生年月日、住所)の流出件数[1] 約1.5万人
約116.7万件 3情報(基礎年金番号、氏名、生年月日)の流出件数[1] 約96.9万人
約3.1万件 2情報(基礎年金番号、氏名)の流出件数[1] 約3.0万人
約55万件パスワード未設定だったデータ[1]
31台不正プログラムに感染した端末[1]
124通受信した標的型メールの数[1]
約6億円対応に要した費用[1] うち約2億円は政府広報に要した費用で既存予算から支出。本事案による新規支出は約4億円。平成27年8月20日時点の累計

気づいたきっかけ

5月28日、警察から機構の情報と見られるデータを発見したとの連絡を受け、流出が判明した

対応と復旧

5月29日に機構全体の統合ネットワークを通じたインターネット接続を遮断し、6月1日に事案を公表した。6月4日にはメール送受信専用の外部回線も遮断した。専用コールセンターを設け、流出の対象となった方に基礎年金番号の変更などを案内した

組織が認めた原因と、決めた対策

認めた原因

標的型メールを受信した際に開封や感染の有無を確認し、不審な通信先への接続を遮断するといった対策について、具体的なルールが定められていなかった
個人情報を共有ファイルサーバに置き、インターネットに接続された環境で取り扱うことを認めており、一部のデータにはパスワードも設定されていなかった
情報セキュリティ担当部署に専門的な知識及び経験を有する者が配置されておらず、基本的対応が担当者任せになっていた
標的型メールの開封や不審な通信に関する疑いが組織として共有されず、理事長や最高情報セキュリティ責任者への報告も適時適切に行われない場合があった
機構の情報系ネットワークは、政府が進めていた標的型攻撃に対する多重防御の取組の対象としておらず、多重防御の取組が十分でなかった

公表した再発防止策

基幹システム及び個人情報等重要情報を扱うシステムをインターネット接続環境から完全に遮断する
標的型メール攻撃等への多重防御体制(入口対策、内部対策、出口対策)を整備する
情報セキュリティ対策の司令塔となる組織を新設し、専門家の登用や規程・手順書の整備を進める
模擬メール訓練を含む情報セキュリティ研修を充実させ、内部監査でも情報セキュリティのリスクを重点的に点検する
厚生労働省との間で、案件の内容や重要性に応じた報告・連絡・相談のルールを整備する

自分のサービスで確かめること

標的型メールを受信した際に、受信者全員に開封や感染の有無を確認する手順が決まっているか確かめる
個人情報を置く共有サーバがインターネットに接続された環境にないか、パスワードが実際に設定され運用されているか点検する
端末のローカル管理者権限のパスワードが端末間で使い回されていないか確かめる
不審な通信の検知連絡を受けた際に、どのレベルまで報告し、いつ全社的な遮断を判断するかのルールがあるか確かめる
情報セキュリティ担当に専門知識や経験を持つ人員が置かれているか確かめる

関わる攻撃とレッスン

攻撃の種類

フィッシング

学べるレッスン

4-2 検知の決まりの設計 (準備中)
4-3 インシデント対応
3-4 横への広がりと認証情報 (準備中)
1-6 名前解決と信頼の境目

時系列

5月8日侵入標的型メールのリンク先から端末1台が不正プログラムに感染し、NISCが不審な通信を検知して厚生労働省を通じ機構に連絡した[1]
5月15日対応運用委託会社から新種ウイルスは情報を漏洩するタイプではないとの解析結果を受け、一旦収束したと判断した[1]
5月18日侵入 2種類の標的型メールが職員に届き、複数の端末が不正プログラムに感染した[1]
5月20日侵入別の標的型メールで端末が感染し、攻撃者が管理者権限を奪って他の端末への感染を拡大させた[1]
5月21日侵入この日から23日にかけて、共有ファイルサーバにあった個人情報が外部のサーバへ送信された[1]
5月22日対応 NISCからの通報を受け該当端末を抜線し、該当拠点のインターネット接続を遮断した[1]
5月23日対応別の拠点でも不審な通信を検知して端末を抜線し、該当拠点のインターネット接続を遮断した結果、情報の流出が止まった[1]
5月28日発覚警察から機構の情報と見られるデータを発見したとの連絡を受け、流出が判明した[1]
5月29日対応機構全体の統合ネットワークを通じたインターネット接続を遮断した[1]
6月1日公表不正アクセスによる情報流出事案を公表した[1]
6月4日対応メール送受信専用の外部回線を遮断した[1]
8月20日公表機構の調査委員会による調査結果報告と、サイバーセキュリティ戦略本部によるNISCの原因究明調査結果がともに公表された[1]

攻撃した側について

機構の調査委員会の報告書にもサイバーセキュリティ戦略本部(NISC)の原因究明調査結果にも、攻撃者の名前や所属の記載はない

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

不正アクセスによる情報流出事案に関する調査結果報告について日本年金機構不正アクセスによる情報流出事案に関する調査委員会、2015年8月20日、調査委員会の資料
日本年金機構における個人情報流出事案に関する原因究明調査結果サイバーセキュリティ戦略本部(内閣官房内閣サイバーセキュリティセンター)、2015年8月20日、公的機関の資料

日本年金機構 標的型メールによる個人情報流出事件